প্রকল্প সম্পর্কে

Stোয়া একটি লোকাল-ফার্স্ট AI এজেন্ট ইনভেন্টরি ও ঝুঁকি স্ক্যানার। এটি পাইথন, জাভাস্ক্রিপ্ট ও টাইপস্ক্রিপ্ট রিপোজিটরি স্ট্যাটিকভাবে বিশ্লেষণ করে — কোনো রানটাইম হুক, আপলোড বা অ্যাকাউন্ট ছাড়াই — সম্ভাব্য AI এজেন্ট কোড খুঁজে বের করে, সেই এজেন্টরা কী কী অ্যাক্সেস করতে পারে তা ম্যাপ করে এবং উচ্চ-নিশ্চয়তার ঝুঁকি চিহ্নিত করে। ডিটেকশন LangChain, LangGraph, CrewAI, AutoGen, LlamaIndex, OpenAI Agents SDK, PydanticAI, Bedrock Agents, Semantic Kernel, LiteLLM এবং সরাসরি প্রোভাইডার কলের মতো সাধারণ এজেন্ট ফ্রেমওয়ার্ক ও প্যাটার্ন কভার করে। প্রতিটি প্রার্থীর সাথে ওয়েটেড এভিডেন্স থাকে যা দেখায় কেন এটি শনাক্ত হয়েছে। স্ক্যানার প্রোভাইডার, ফ্রেমওয়ার্ক, ইন্টিগ্রেশন ও সক্ষমতাও ম্যাপ করে, যেমন পেমেন্ট অ্যাক্সেস, ডেটাবেস রিড ও Slack মেসেজিংসহ একটি এজেন্ট। ঝুঁকি পরীক্ষায় হার্ডকোডেড ক্রেডেনশিয়াল, হার্ডকোডেড পাসওয়ার্ড, ইন্টারপোলেটেড SQL, গিলে ফেলা এক্সেপশন, অসুরক্ষিত HTTP, অনুপস্থিত রিকোয়েস্ট টাইমআউট এবং কন্ট্রোল-রিভিউ প্রম্পট অন্তর্ভুক্ত। AI এজেন্ট সিকিউরিটি রুলের একটি সেট OWASP LLM Top 10-এর সাথে ম্যাপ করা, যেখানে ডিফল্টভাবে চালু একটি tree-sitter AST লেয়ারের মাধ্যমে ডেটা-ফ্লো বিশ্লেষণ হয়। শুধুমাত্র গেট-যোগ্য রুল থেকে উচ্চ-নিশ্চয়তার ফলাফল একটি স্ক্যান ব্যর্থ করতে পারে; ডিফল্টভাবে গেট নতুন প্রবর্তিত ক্রিটিক্যাল ফলাফলে প্রয়োগ হয় যাতে বিদ্যমান ঋণ সম্পর্কহীন পুল রিকোয়েস্ট ব্লক না করে। আউটপুট লোকাল: সাতটি স্ক্রিনসহ একটি স্বয়ংসম্পূর্ণ HTML ড্যাশবোর্ড, একটি লিগ্যাসি HTML রিপোর্ট এবং একটি ডিটারমিনিস্টিক সংস্করণযুক্ত JSON রেজিস্ট্রি। ড্যাশবোর্ড ডেটা এস্কেপড এমবেড করে, ইনলাইন স্ক্রিপ্টকে Content-Security-Policy দিয়ে পিন করে এবং কোনো নেটওয়ার্ক রিকোয়েস্ট করে না। একটি CLI git বেসের বিরুদ্ধে diff-সচেতন স্ক্যানিং, GitHub অ্যানোটেশন, জব সামারি, SARIF-স্টাইল ডাইমেনশন ট্যাগ, স্পষ্ট রুল ID সহ সাপ্রেশন কমেন্ট এবং stoa.toml ও .stoaignore-এর মাধ্যমে কনফিগারেশন সমর্থন করে। অতিরিক্ত ফিচারের মধ্যে রয়েছে রেজিস্ট্রিগুলির মধ্যে এজেন্ট সক্ষমতা ড্রিফট তুলনা, শ্যাডো মোডে একটি ঐচ্ছিক রানটাইম ট্রেস ওভারলে যা প্রয়োগ না করে পর্যবেক্ষিত এভিডেন্স যোগ করে, এবং ঘোষিত ব্যবসায়িক প্রেক্ষাপট দ্বারা চালিত একটি আনুমানিক আর্থিক ক্ষতি / বীমা মূল্যায়ন ভিউ। সিরিয়ালাইজেশনের আগে সিক্রেট রিড্যাক্ট করা হয়, এবং প্রকল্পটি তার সীমাবদ্ধতা নথিভুক্ত করে, যার মধ্যে রয়েছে ফলস পজিটিভ, শুধুমাত্র ইন্ট্রা-ফাইল ডেটা-ফ্লো বিশ্লেষণ এবং পাইথন, জাভাস্ক্রিপ্ট ও টাইপস্ক্রিপ্টে সীমাবদ্ধ সমর্থন।